JPH09223035A - 計算機システム - Google Patents

Abstract

(57)【要約】 【課題】 ソフトウエアの２重化によりソフトウエアの
信頼性を向上させる。 【解決手段】 本発明に係る計算機システムは、タスク
を処理する第１のプログラム及び同タスクを処理する第
２のプログラムを対応づけて記憶装置に登録しておき、
第１、第２のプログラムの一方を起動し前記タスクを処
理させる、稼働状態のプログラムの異常を監視して異常
検出を行い、異常が検出されると、当該稼働状態のプロ
グラムを停止し、これに代えて前記第１、第２のプログ
ラムの内の他方を稼働状態とする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はプログラムによりタ
スク処理を行う計算機システムにおいて、プログラムに
異常が発生した場合でも、復旧に時間を要せず、システ
ムダウンに移行することを実質的に無くすことを可能と
する計算機システムに関する。

【０００２】

【従来の技術】従来の計算機システムにおいては、稼働
状態のプログラムに異常が発生した場合、以下に示す処
置が採られていた。その第１は、プログラムの実行処理
を中断し、機能を停止させた後、当該プログラムが占有
していた資源を解放するものである。この処置による
と、プログラムに異常が発生すると該機能が停止し、オ
ペレータの介入があるまで処理が行えなくなる問題があ
る。

【０００３】

【発明が解決しようとする課題】そして、オペレータの
介入があるまでの間は、システムとしての機能が停止
し、復旧までの時間が長引くほどシステムの稼働率が低
下する。

【０００４】そこで、上記計算機システムの機能停止後
に、異常を起こしたプログラムを再起動させることが考
えられる。しかし、プログラムの停止から再起動に時間
を要する場合には、処理要求が待ち状態となったり、機
能停止後に発生した処理要求が実行待ち行列レジスタを
オーバーフローさせたり、或いは処理が遅延することも
考えられる。

【０００５】また、複数の共有ファイルを変更する処理
等の場合には、処理の途中でプログラムの異常終了が起
きると処理を完結しないでファイルの変更が中断され、
各共有ファイル間でデータが不整合のままとなり、以後
の処理が困難になる場合がある。係る場合には、プログ
ラムの実行処理の中断後、オペレータが処理ジャーナル
からデータを復旧する作業を別途行い、データの整合性
を確認の上、異常終了したプログラムを修正し再起動を
行っている。このため、復旧までに多大な時間を要する
という問題点が生じていた。

【０００６】本発明は上記の従来例に係る計算機システ
ムの問題点を解決せんとしてなされたもので、その目的
は稼働状態のプログラムに異常が発生した場合、ソフト
ウエアによりバックアップしタスクの実質的な連続処理
を可能とする計算機システムを提供することである。ま
た、他の目的はシステムの機能停止時間を短縮し、シス
テムに対する信頼性や保守性を向上させ、処理の一貫性
を保つことの可能な計算機システムを提供することにあ
る。

【０００７】

【課題を解決するための手段】本発明の請求項１に記載
の計算機システムは、タスクを処理する第１のプログラ
ム及び前記タスクを処理する第２のプログラムを対応付
けて記憶装置に登録する登録手段と、前記第１、第２の
プログラムの一方を起動し前記タスクを処理する稼働状
態とする初期状態実現手段と、稼働状態のプログラムの
異常を監視して異常検出を行う異常検出手段と、この異
常検出手段が稼働状態のプログラムの異常を検出する
と、前記登録手段による登録内容に応じて、当該稼働状
態のプログラムに代えて前記第１、第２のプログラムの
内、他方を稼働状態とするための処理を行うプログラム
交替処理実行手段とを具備することを特徴とする。これ
によって、同一タスクを処理する２つのプログラムが記
憶装置に登録され、どちらか一方が起動されて稼働状態
とされタスク処理がなされる。タスク処理中において、
稼働状態のプログラムの異常が検出された場合、上記記
憶装置に登録されている他方のプログラムが稼働状態と
されタスクが処理される。

【０００８】本発明の請求項２に記載の計算機システム
では、初期状態実現手段が、稼働状態のプログラムと異
なる他方のプログラムを待機状態としておくこと特徴と
する。これによって、稼働状態のプログラムによる処理
中には、これと異なる他方のプログラムが待機状態、つ
まり、ホットスタンバイ状態とされており、現在稼働状
態のプログラムの異常の場合に待機状態から直ちに稼働
状態に遷移させることができ、短時間で処理を引き継ぐ
ことが可能となる。

【０００９】本発明の請求項３に記載の計算機システム
は、プログラム交替処理実行手段が、異常検出手段が稼
働状態のプログラムの異常を検出した場合に、当該プロ
グラムの実行処理を中断する実行中断手段と、前記異常
検出手段が稼働状態のプログラムを異常を検出した場合
に、当該プログラムが占有していた資源を解放する解放
手段とを含むことを特徴とする。これにより、稼働状態
のプログラムの異常が検出されると、当該稼働状態のプ
ログラムの実行が停止され、そのプログラムが占有して
いた資源の解放がなされ、当該資源を他方のプログラム
に割り当て可能となる。

【００１０】本発明の請求項４に記載の計算機システム
は、稼働状態のプログラムが処理するタスクの実行環境
情報を検出して保存する実行環境保存手段と、この実行
環境保存手段に保存されている実行環境情報に基づき、
プログラム交替処理実行手段による処理の際に、タスク
の実行環境を復元する環境復元手段とを備えることを特
徴とする。これにより、タスク内の稼働状態のプログラ
ムの実行環境情報が保存されると共に、稼働状態のプロ
グラムに代えて上記第１、第２のプログラムの内の他方
を稼働状態とする処理の際、上記で保存してある実行環
境を復元して新たに稼働状態となるプログラムに引き継
がせるように作用する。

【００１１】本発明の請求項５に記載の計算機システム
では、実行環境保存手段が、プログラムの処理実行に先
立ち実行環境情報を保存することを特徴とする。これに
より、異常終了したプログラムの処理実行に先立つ実行
環境情報を、新たに稼働状態となるプログラムに引き継
がせるように作用する。

【００１２】本発明の請求項６に記載の計算機システム
においては、実行環境保存手段が、稼働状態のプログラ
ムの処理実行に先立つ時点の実行環境情報から異常終了
に到るまでの履歴に係る実行環境情報を保存することを
特徴とする。これにより、異常終了時には稼働状態のプ
ログラムの処理実行に先立つ時点の実行環境情報から異
常終了に到るまでの履歴に係る実行環境情報が保存され
ているから、この履歴に係る実行環境情報に基づきロー
ルバックを行い実行環境を復元し、ロールバックした実
行環境を新たに稼働状態となるプログラムに、引き継が
せるように作用する。

【００１３】本発明の請求項７に記載の計算機システム
は、タスクの実行処理要求データを蓄積するための蓄積
手段と、前記タスクの実行処理要求データが入力される
と、この実行処理要求データを前記蓄積手段に格納する
格納手段と、前記タスクの実行に際して、対応の実行要
求データを前記格納手段から取り出し当該実行要求デー
タに対する第１、第２のプログラムによる処理履歴情報
を保存する履歴保存手段と、この履歴保存手段に格納さ
れている処理履歴情報に基づきロールバックを行い実行
の環境を復元する手段と、プログラム交替処理実行手段
による処理の際に、当該実行処理要求データの処理の実
行／スキップを制御する制御手段とを具備することを特
徴とする。これにより、実行処理要求データに対する第
１、第２のプログラムによる処理の履歴に基づき、プロ
グラム交替処理の際に、次の実行処理要求データの処理
の実行／スキップが制御されることから、同一実行処理
要求データの実行の時に同一原因による異常発生を防止
する。

【００１４】本発明の請求項８に記載の計算機システム
は、プログラム交替処理実行手段による稼働状態のプロ
グラムの交替処理が実行される際に、異常となったプロ
グラムを再起動し待機状態としておく異常プログラム再
起動手段を具備することを特徴とする。本発明の請求項
８に記載の計算機システムでは、プログラム交替処理の
際に、異常終了したプログラムを再起動し待機状態と
し、次に稼働状態としたプログラムが異常となる場合に
備える。

【００１５】

【発明の実施の形態】以下、添付図面を参照して本発明
に係る実施の形態を説明する。各図において同一の構成
要素には同一の符号を付し重複する説明を省略する。図
１には、本発明の第１の実施の形態に係る計算機システ
ムの構成が示されている。この実施の形態に係る計算機
システムは、登録手段１、初期状態実現手段２、異常検
出手段３、プログラム交替処理実行手段４、実行環境保
存手段５、環境復元手段６、そして登録部、主記憶装
置、資源、プログラムライブラリを具備する。主記憶装
置は、資源とプログラムライブラリを除く部分である。

【００１６】プログラムライブラリには、第１のプログ
ラム及び第２のプログラムが記憶されており、登録手段
１は、これら２つのプログラムをプログラムライブラリ
から読み出し、主記憶装置にロードする。これら２つの
プログラムは相互に代替性のあるプログラムであり、第
１のプログラムに障害が生じた時に稼働すべきプログラ
ムが第２のプログラムであり、逆に第２のプログラムに
障害が生じた時、稼働すべきプログラムが第１のプログ
ラムである。登録部には相互に代替性のあるプログラム
であると認識し得るような情報、例えば、両プログラム
の識別情報が対応付けらて識別情報が登録される。従っ
て、一方のプログラムに障害が生じた時、この登録部の
情報を参照することにより、他方のプログラムを稼働状
態とすることが可能となる。本実施の形態では、両プロ
グラムが稼働、待機或いは停止のいずれの状態にあるか
を示す状態情報も登録部に登録される。初期状態実現手
段２は、主記憶装置にロードされている２つのプログラ
ムのいずれか一方を起動しタスクを処理する稼働状態の
プログラムを生成し、他方のプログラムを待機状態とす
る。待機状態とは、既に起動された状態にあり、プログ
ラム交替処理実行手段４により即座に稼働状態に遷移さ
れ得る状態にあって、「稼働コマンド」等を与えると、
たちまちタスクの処理を始める状態にあることを言う。
異常検出手段３は、稼働状態のプログラムを監視し異常
の有無を検出する。プログラム交替処理実行手段４は、
異常検出手段３により稼働状態のプログラムの異常が検
出されると、当該稼働状態のプログラムを停止させ、該
稼働状態のプログラムが占有している資源を解放する。
また、プログラム交替処理実行手段４は、登録部の内容
から、待機状態にある代替プログラムを検出しこれを稼
働状態とする。実行環境保存手段５は、タスク内の稼働
状態のプログラムの処理における実行環境情報を保存し
ておく。環境復元手段６は、プログラム交替処理実行手
段４により待機状態のプログラムが稼働状態に切り替え
られる際に、実行環境保存手段５により保存されている
実行環境情報に基づき、実行環境を復元し、新たに稼働
状態となったプログラムに資源を割り当てる。ここにお
いて、実行環境情報は、アプリケーションおよび処理タ
スクにより様々であるが、本第１の実施の形態において
は、資源ファイル、作業ファイルの場所などの詳細、そ
の他の使用可能な資源に関する情報及び実行処理要求デ
ータ、更には、外部プロセスデータを指している。

【００１７】本発明における各手段はソフトウエアで実
現されており、本実施の形態ではシステムが起動された
後、図２または図３に示されるフローチャートに対応す
るプログラムが上記各手段として機能するので、これら
のフローチャートに基づき計算機システムの動作を説明
する。

【００１８】まず、図２のフローチャートに対応のプロ
グラムが備えられている実施の形態では、計算機システ
ムを起動すると図２のフローチャートに対応するプログ
ラムが起動される。そして、Ｓ１では、第１、第２のプ
ログラムをプログラムライブラリから読み出し対応付け
て主記憶装置にロードする。この実施の形態では、この
Ｓ１において、第１、第２のプログラムの識別情報とそ
の状態（稼働・停止・待機）情報とを登録部に登録す
る。これにより、主記憶装置内の第１、第２のプログラ
ムは関連付けられる。なお、第１、第２のプログラムは
同一のタスク処理を行うプログラムあるいはロードモジ
ュールであり、実際上、両者は同一或いは類似のプログ
ラムである。そして、両プログラムはＳ１においてプロ
グラムライブラリから読み出し得るように、プログラム
ライブラリ内においても予め関連付けられて記憶されて
いる。次のＳ２では、主記憶装置のプログラムのどちら
か一方、例えば第１のプログラムを起動しタスクを処理
する稼働状態のプログラムを生成し、タスクの実行処理
を開始させる。一方、第２のプログラムは、「稼働コマ
ンド」等を与えることにより、いつでもタスク処理をで
きるよう、待機状態としておく。

【００１９】以上により、第１のプログラムが必要な資
源を占有し、稼働状態となって、タスクの実行処理を行
うことになる。そして、Ｓ３において稼働状態の第１の
プログラムに対する異常監視がなされ、Ｓ４において異
常の有無検出が行われる。ここで第１のプログラムに異
常発生したことが検出されると、Ｓ５において第１のプ
ログラムの実行を中断し、第１のプログラムが占有して
いた資源を解放する。そして、登録部の内容を参照し、
登録内容に応じて待機状態となっている第２のプログラ
ムを稼働状態に遷移させる。これにより、第２のプログ
ラムが第１のプログラムに代ってタスク処理を実行す
る。即ち、第１のプログラムが稼働している間には、第
２のプログラムが待機状態にあり、この第２のプログラ
ムに「稼働コマンド」等を与えることにより、直ちに稼
働状態へと移行し、システムが実質的に停止することな
くタスク処理が継続して行われる。

【００２０】上記図２に示されるフローチャートのプロ
グラムにより動作する計算機システムは以下の点で不十
分である。即ち、タスクの実行処理が始まり、稼働状態
の第１のプログラムが異常終了すると、新たに待機状態
から稼働状態となった第２のプログラムがタスクの実行
処理を行うものの、第２のプログラムが更に異常終了す
ると、その時点でプログラム処理は停止する。そこで、
次の実施の形態では図３に示されるフローチャートに対
応するプログラムにより処理を行う。

【００２１】この図３により示される実施の形態は、図
２により示される第１の実施の形態に対し、Ｓ１１の処
理を付加して、プログラムが異常終了する度に、異常終
了したプログラムを再起動し待機状態とし、次の稼働状
態のプログラムの異常発生に備え、次の異常終了時には
当該待機状態のプログラムを稼働状態に遷移させる（Ｓ
１０）。これにより、常にプログラムの二重化構成が図
られ、実行処理の無停止化が可能となる。つまり、プロ
グラム自体に問題がなく、他の要因で稼働状態のプログ
ラムが異常終了した場合あるいはきわめてまれなケース
でタイミング上の問題で異常終了した場合などには、こ
の稼働状態のプログラムの実行処理を停止させ、待機状
態にあるプログラムを稼働させ処理を継続させる。これ
と共に、上記で停止されたプログラムを再起動し待機状
態とすることにより、新たに稼働状態とされたプログラ
ムが異常終了しても、待機状態とされているプログラム
に処理を迅速に引き継ぐことができ、タスクの実行処理
の継続が可能となる。

【００２２】本実施の形態に係る計算機システムは、例
えば、高速リアルタイム処理、または、低速リアルタイ
ム処理等を行うシステムであり、具体的には、プロセス
制御システム、プラント等の制御システムである。従っ
て、図４に示すように、計算機４０に対しては、複数の
センサ４１−１〜４１−ｎから周期的にデータが送出さ
れる。センサ４１の例として、位置センサ４１−１、加
重センサ４１−２、圧力センサ４１−ｎが示されてい
る。これらのセンサ４１−１、４１−２、４１−ｎから
は、それぞれ位置データ、加重データ、圧力データが送
出される。

【００２３】図４において、実線の丸枠で示される処理
プログラムは稼働状態であり、破線の丸枠の処理プログ
ラムは稼働状態の処理プログラムの代替プログラムであ
り、待機状態にある。プラント制御等の高速リアルタイ
ム処理においては、稼働状態ではない代替用のプログラ
ムを待機状態において、数ｍｓ周期で生じるデータの処
理を代替処理可能にする。逆に言えば、低速リアルタイ
ム処理では、代替用のプログラムを外部記憶に記憶して
おき、代替時にロードする所謂、コールドスタンバイ方
式を採用しても良い。要は、代替時にロードし稼働状態
とするまでの時間に、処理の遅延が起こらないようにス
タンバイさせている。

【００２４】高速リアルタイム処理では、例えば、処理
プログラムＡが周期的に発生する或るデータを幾つか受
けて、これに或る種の演算（例えば、積分）処理を施し
て、主記憶装置４２に記憶し、処理を処理プログラムＢ
に譲る。処理プログラムＢは、主記憶装置４２から上記
演算結果を得て、更に周期的に発生する或るデータを考
慮するなどして処理結果を作成し主記憶装置４２に記憶
する。勿論、処理プログラムＡ、Ｂが一体の１プログラ
ムであり、演算値を連続的に処理することにより処理結
果を得るものもある。いずれにしても、処理プログラム
Ａ、または処理プログラムＢに異常が発生すると、これ
の代替プログラムが稼働状態され、処理を継続する。

【００２５】上記の場合、処理プログラムＡ、またはＢ
が処理を開始してから異常終了するまでには、共有ファ
イルの書き換えなどが行われることはなく、処理実行中
に実行環境情報が経時的に変化することは無いと考えて
良い。従って、このようなシステムにあっては、実行環
境保存手段５及び環境復元手段６は図５に示されるフロ
ーチャートに示されるように動作する。つまり、稼働状
態のプログラム（例えば、第１のプログラム）による処
理実行が開始されるか否かを監視している（Ｓ３１）。
ここで、処理実行が開始されるときには、処理開始に先
立って実行環境情報を取得し、これを保存する（Ｓ３
２）。次に、稼働状態のプログラムの終了の原因が正常
終了によるものか、異常終了によるものかを検出する
（Ｓ３３）。正常終了である場合には、Ｓ３１へ戻っ
て、次の処理を実行する稼働状態のプログラムについ
て、処理実行が開始されるか否かを監視する。一方、異
常終了した場合には、保存してある実行環境情報を取り
出し、実行環境の復元を行う（Ｓ３４）。この場合に
は、資源等の引き渡し等が中心であり、ロールバックを
行う必要はない。待機状態にあったプログラム（例え
ば、第２のプログラム）は先に稼働状態にあったプログ
ラムから処理を引継ぎ、停止した時点の処理から継続的
に処理を行う。従って、高速処理を要求されるプラント
制御等においても、処理が跡切れることなく次の処理を
継続的に実行できる。

【００２６】上記に対し、オンライントランザクション
処理やバッチ処理を代表とする共有ファイルに変更を伴
う処理をプログラムが行うシステムがある。図６に示す
ように、オンライントランザクション処理では、実行処
理要求データはキュー６１に蓄積され、稼働状態の処理
プログラムにＦＩＦＯ（ファーストイン・ファーストア
ウト）方式により渡される。代替する別バージョンの処
理プログラムはプログラムライブラリ６３に記憶され、
コールドスタンバイを行う。オンライントランザクショ
ン処理では、高速リアルタイム処理と比べてそれほど高
速性を要しないため、コールドスタンバイで十分である
ことを示すだけであり、応答性を確保する必要があるな
らホットスタンバイ方式を採用する。

【００２７】実行処理要求データを受け取った処理プロ
グラムは、実行処理要求データに基づき関係するファイ
ル６２の内容に変更を加える。図６においては、ファイ
ル６２の内容が現内容から更新１、・・・更新ｎに変更
されることを示している。この様な処理中に、ジャーナ
ル６４が取られ、ロールバックが可能とされる。これ
は、オンライントランザクション処理においては、ファ
イル６２が更新されるために、高速オンライン処理につ
いて適用した手法、つまり、停止時点から更に処理を続
けさせる手法を採用しても、異常によりプログラムが停
止した時点でファイル６２の内容が不正である確率が高
いため、更に処理を継続しても誤ったデータ処理がなさ
れることになる。そこで、ロールバックによりファイル
６２の内容を異常を起こしたプログラムが処理を行う前
の正常な内容に戻すように構成される。

【００２８】図７には、上記オンライントランザクショ
ン処理等に好適な第２の実施の形態に係る計算機システ
ムの構成が示されている。本実施の形態の計算機システ
ムは、図１の計算機システムと異なり外部から断続的に
実行処理要求データが入力され、その実行処理要求の発
生の度に実行処理要求に応じた処理を行うことを特徴と
する。実行処理要求データがない場合、プログラムは稼
働状態ではあるが、待ち状態になっている。

【００２９】本実施の形態による計算機システムは、図
１に示される計算機システムに、新たに、蓄積手段７、
格納手段８、履歴保存手段９、制御手段１０、異常プロ
グラム再起動手段１１の各手段と処理履歴情報の履歴情
報登録部が加わったものである。蓄積手段７は外部から
入力される実行処理要求データを保持する実行待ち行列
レジスタである。格納手段８は入力された実行処理要求
データを蓄積手段７へ登録する。履歴保存手段９は実行
処理要求データを蓄積手段７から取り出し、タスク内の
稼働状態のプログラムに渡すとともに、処理結果に応じ
て処理履歴情報と実行処理要求データを１対１で履歴情
報登録部に保存しておく。制御手段１０は、履歴保存手
段９により取り出された実行処理要求データの処理の実
行／スキップを、処理履歴情報登録部内の情報に基づき
制御する。異常プログラム再起動手段１１は異常終了し
たプログラムを再起動し待機状態のプログラムに遷移さ
せる。

【００３０】図８のフローチャートは、入力された実行
処理要求データを、実行待ち行列であるレジスタに格納
するまでの処理を示す。Ｓ１においては、第１のプログ
ラム及び第２のプログラムを主記憶装置に対応付けて格
納し、両者を識別できるように登録しておく。更にＳ２
において第１のプログラムを起動し稼働状態とし、タス
クの実行処理を開始させる。一方、第２のプログラム
は、「稼働コマンド」等を与えることにより、いつでも
タスクを処理できるように、待機状態としておく。次の
Ｓ１４、Ｓ１５では外部から実行処理要求データの入力
を監視し、入力がなされる都度、実行待ち行列レジスタ
である蓄積手段７に登録する。

【００３１】図９のフローチャートは、図８に示した通
りに、実行待ち行列レジスタである蓄積手段７に登録し
た実行処理要求データのうち最も古いものから順に取り
出し、タスクの実行処理をしているプログラムに渡し実
行処理させる一連の動作を示す。まずＳ１６では、実行
待ち行列レジスタである蓄積手段７より実行処理要求デ
ータを取り出す。Ｓ１７においては処理履歴情報を検索
し、取り出した当該実行処理要求データが、現在稼働状
態となっている第１（または第２）のプログラムに渡さ
れた後に実行処理が異常終了したか否かを判断する。以
前に異常を発生させた履歴を持つ実行処理データであれ
ば、その実行処理要求データを実行待ち行列レジスタで
ある蓄積手段７に戻さずにスキップしてステップＳ１６
に戻り、次の実行処理要求データを取り出す。一方、当
該実行要求データが現在稼働状態のプログラムを異常終
了させたものではない場合、Ｓ１８に移り当該実行要求
データを稼働状態の第１のプログラムに渡す。これによ
り、第１のプログラムによりタスクの実行処理が始ま
る。

【００３２】次のＳ１９では、第１のプログラムを監視
して正常終了したか否かを判断する。正常終了した場
合、Ｓ１６に戻り実行待ち行列レジスタである蓄積手段
７から次の実行処理要求データを取り出し、タスクの実
行処理を開始させる。異常終了した場合にはＳ２０に進
み、第１のプログラムが異常終了したこと及びそのとき
の実行処理要求データを、１対１で対応付けて処理履歴
情報として履歴情報登録部に記録しておく。次のＳ２１
では該実行処理要求データを実行要求待ち行列に戻す。
続いてＳ２２に移り、待機状態のプログラムである第２
のプログラムを稼働状態とし、再びＳ１６以降の処理に
戻り、実行待ち行列レジスタである蓄積手段７の実行処
理要求データについて当該第２のプログラムにより処理
を実行するかスキップするかを判定し（Ｓ１７）前述の
ようにしてタスクの実行処理がなされる。

【００３３】このため、第１のプログラムと第２のプロ
グラムとが、２バージョン等と称されるような異なるプ
ログラムである場合には、次のように処理が行われる。
まず、ある実行処理要求データの処理により、第１の
（第２の）プログラムが異常終了した場合には、当該実
行処理要求データが実行要求待ち行列に戻され、次に稼
働状態とされる第２の（第１の）プログラムにより、上
記で実行要求待ち行列に戻された実行処理要求データの
処理が行われる。つまり、当該実行処理要求データによ
り第１のプログラムが異常終了しても、これとは異なる
第２のプログラムは当該実行処理要求データを異常終了
すること無く処理する可能性があるので、両プログラム
に当該実行処理要求データの処理を行わせるのである。
この第２の（第１の）プログラムによる処理が異常終了
すると当該実行処理要求データが更に処理されることは
なくなる。なお、この実施の形態においても、稼働状態
のプログラムに異常が発生したときには、これを停止し
資源を解放する。

【００３４】上記に対し、第１のプログラムと第２のプ
ログラムとが、同一プログラムである場合には、次のよ
うに処理が行われる。ある実行処理要求データの処理に
より、第１の（第２の）プログラムが異常終了した場合
には、当該実行処理要求データが更に処理されることは
なくなる。つまり、第１、第２のプログラムは同一プロ
グラムゆえに、当該実行処理要求データに対しては、異
常終了すると推定されるため、処理をスキップするので
ある。

【００３５】図９に示される一連の処理を実行する計算
機システムには図２のフローチャートにより示した実施
の形態と同様、以下に示す点で不十分である。タスクを
処理する稼働状態のプログラムが異常終了すると、新た
に稼働状態となったプログラムがタスクの実行処理を続
行するものの、そのプログラムが異常終了すると、その
時点でプログラム処理は停止する。そこで、図１０に示
すように図９のフローチャートの処理にＳ３０の処理を
付加し、稼働状態のプログラムが異常終了する度に、異
常終了したプログラムを再起動し待機状態とし、新たに
稼働状態となったプログラムの異常に備える。これによ
り、常にプログラムの二重化が図られ、実行処理の無停
止化が可能となる。

【００３６】本実施の形態では、処理プログラムが処理
を開始してから異常終了するまでには、トランザクショ
ンを発生する側からの共有ファイル等の書き換えなどが
行われる。従って、係るシステムにあっては、実行環境
保存手段５及び環境復元手段６は図１１に示されるフロ
ーチャートに示されるように、稼働状態のプログラムの
処理実行に先立つ時点の実行環境情報から異常終了に到
るまでの履歴に係る実行環境情報を保存する動作を行
う。つまり、稼働状態のプログラム（例えば、第１のプ
ログラム）による処理実行が開始されるか否かを監視し
ている（Ｓ３１）。ここで、処理実行が開始されるとき
には、処理開始に先立って実行環境情報を取得し、これ
を保存する（Ｓ３２）。

【００３７】次に、稼働状態のプログラムが終了したか
否かを監視する（Ｓ３５）。ここで、稼働状態のプログ
ラムが終了しなければ、つまり、処理が継続されている
ときには、実行環境情報を追加保存する（Ｓ３６）。こ
の追加保存される実行環境情報は、主に、ロールバック
のためのファイル内容の変更履歴情報、つまり、ジャー
ナルである。この様にして、実行環境情報の追加保存を
行う内に、稼働状態のプログラムが終了すると、稼働状
態のプログラムの終了の原因が正常終了によるものか、
異常終了によるものかを検出する（Ｓ３７）。正常終了
である場合には、Ｓ３１へ戻って、次の処理を実行する
稼働状態のプログラムについて、処理実行が開始される
か否かを監視する。

【００３８】一方、異常終了した場合には、保存してあ
る実行環境情報を取り出し、ロールバックを含む実行環
境の復元を行う（Ｓ３８）。この場合には、資源等の引
き渡し等以外に、ロールバックが行われ、異常終了した
プログラムによる処理の初めに戻って処理前のファイル
の内容を持つシステムとされる。更に、実行処理要求デ
ータも異常終了となる前の実行処理要求データに戻さ
れ、待機状態にあったプログラム（例えば、第２のプロ
グラム）は、言わば、処理の最初に戻って処理を再実行
する。従って、ファイル内容に更新が生じるオンライン
トランザクション処理等の場合にも、不正データが格納
された可能性のあるファイルを使用して更に誤った結果
を出す等の不具合を適切に防止できる。

【００３９】本発明は、図１２に示すように、現用のア
プリケーション８０と予備用のアプリケーション８０Ａ
とがランしている中央計算機７０と、計算機７１、７
２、・・・、ジャーナルファイル７７及びプロセスデー
タを発生するデータ発生装置７９がＬＡＮ７８により接
続されているシステムにも適用可能である。つまり、ア
プリケーション８０、８０Ａは、同一のアプリケーショ
ンであり、１００以上のタスクを含んで構成されてい
る。現用のアプリケーション８０は、データ発生装置７
９から送られるデータに基づき実際の処理を行う。例え
ば、鉄道の運行制御システム等においては、実際の運転
整理等を行う。これに対し、予備用のアプリケーション
８０Ａはデータ発生装置７９から送られるデータを入出
力処理部８５を介してアプリケーション８０と同様に受
け取って、テストモード或いはシミュレーションモード
で動作し、アプリケーション８０と同一のアプリケーシ
ョンの適性を検査している。係るシステムにおいて、現
用アプリケーション８０が異常終了したときには、上記
の実施の形態のいずれかにより、予備用のアプリケーシ
ョン８０Ａを現用に切り換えを行い、現用を予備用に切
り換える。これによって、１００以上のタスクからなる
アプリケーションを用いたシステムを停止させることな
く、また、処理の遅延がほぼ無いままに運用することが
可能である。

【００４０】なお、以上述べた各実施の形態では、第１
（第２）のプログラムが稼働状態の場合には第２（第
１）のプログラムを待機状態としている。しかしなが
ら、プログラムの起動から待機までの間の時間が問題と
ならぬような環境下では、第１（第２）のプログラムが
稼働状態にある時、第２（第１）のプログラムを停止状
態におき、第１（第２）のプログラムに障害が生じたと
きに、上記停止状態の第２（第１）のプログラムを起動
し、稼働状態としてタスク処理を行わせる、所謂コール
ドスタンバイの手法を採用した構成とすることもでき
る。このような構成においても、ソフト的なバックアッ
プを行い得る。

【００４１】また、各実施の形態では、２つのプログラ
ムによる代替処理を行ったが、別の実施の形態では、３
つ以上のプログラムによる代替処理を行う。この場合、
同一タスクを処理し、処理に適合した各々が相違する３
つ以上のプログラムを用いることにより、それらの間で
切り換えが行われ、処理の中断等の無いシステムを提供
可能である。

【００４２】

【発明の効果】以上説明したように本発明の請求項１に
記載の計算機システムによれば、同一タスクを処理する
２つのプログラムの内、稼働状態のプログラムが異常を
起こしても、自動的に他のプログラムを稼働状態とする
ので、計算機システムの機能停止が避けられ、また、故
障時間の短縮化が可能となり、これにより、ソフトウエ
アの面からシステムの信頼性の向上を図ることができ
る。

【００４３】以上説明したように本発明の請求項２に記
載の計算機システムによれば、２つのプログラムの内、
一方を起動し稼働状態のプログラムとする際に、もう一
方のプログラムも起動して待機状態とするので、稼働状
態のプログラムに異常が発生した場合、即座にプログラ
ム交替処理が実行可能であり、実行処理を継続的に行う
ことができる。

【００４４】以上説明したように本発明の請求項３に記
載の計算機システムによれば、稼働状態のプログラムの
異常を検出した場合、その稼働状態のプログラムの実行
を中断し、占有していた資源を解放するので、新たに稼
働状態となるプログラムに対する資源の割り当てを迅速
及び確実に行うことができる。

【００４５】以上説明したように本発明の請求項４に記
載の計算機システムによれば、タスク内の稼働状態のプ
ログラムの実行環境情報を保存し、プログラム交替処理
の際に、実行環境を復元し新たに稼働状態となるプログ
ラムを動作させるので、必要な実行環境を整え、次の処
理が適切に行われるのを保証し信頼性を向上させる効果
を奏する。

【００４６】以上説明したように本発明の請求項５に記
載の計算機システムによれば、プログラムの処理実行に
先立ち実行環境情報を保存し、これを用いて実行環境を
復元するので、処理環境が単純な場合に新たに稼働状態
となるプログラムがこの実行環境を用いて処理を引き継
ぐことができる効果を奏する。

【００４７】以上説明したように本発明の請求項６に記
載の計算機システムによれば、稼働状態のプログラムの
処理実行に先立つ時点の実行環境情報から異常終了に到
るまでの履歴に係る実行環境情報を保存し、この実行環
境情報を用いて実行環境を復元ので、ロールバックが可
能であり新たに稼働状態となるプログラムが処理開始直
前の整合性がとれた状態から実行処理を行なうことが可
能となり、信頼性を向上させる効果を奏する。

【００４８】以上説明したように本発明の請求項７に記
載の計算機システムによれば、実行処理要求データに対
する第１、第２のプログラムによる処理の履歴を保存し
て、プログラム交替処理の際、前記処理履歴情報に基づ
き、次の実行処理要求データの実行／スキップを制御す
るので、同一原因、同一プログラムによる再度の異常発
生を避けることができる。

【００４９】以上説明したように本発明の請求項８に記
載の計算機システムによれば、プログラム交替処理の際
に、異常終了したプログラムを再起動し待機状態とし、
次に稼働状態としたプログラムが異常となる場合に備え
るので、この待機状態のプログラムを次に稼働状態に遷
移させるだけでシステムを復旧でき、処理の停止時間を
短縮し信頼性の高い計算機システムが実現できる。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態に係る計算機システ
ムの構成図。

【図２】本発明の第１の実施の形態に係る計算機システ
ムにおけるプログラム復旧処理を説明するためのフロー
チャート。

【図３】本発明の第１の実施の形態に係る計算機システ
ムにおいて異常状態となったプログラムを再起動する動
作を説明するためのフローチャート。

【図４】本発明の計算機システムが適用される高速リア
ルタイム処理を説明するための図。

【図５】本発明の第１の実施の形態に係る計算機システ
ムにおいて実行環境の保存・復元を行う場合の動作を説
明するためのフローチャート。

【図６】本発明の計算機システムが適用されるオンライ
ントランザクション処理を説明するための図。

【図７】本発明の第２の実施の形態に係る計算機システ
ムの構成図。

【図８】本発明の第２の実施の形態に係る計算機システ
ムにおいて実行処理要求データについて処理する場合の
動作を説明するためのフローチャート。

【図９】本発明の第２の実施の形態に係る計算機システ
ムにおける動作を説明するためのフローチャート。

【図１０】本発明の第２の実施の形態に係る計算機シス
テムにおいて異常状態となったプログラムを再起動する
動作を説明するためのフローチャート。

【図１１】本発明の第２の実施の形態に係る計算機シス
テムにおける実行環境の保存・復元の動作を説明するた
めのフローチャート。

【図１２】本発明の計算機システムが適用されるシステ
ムを説明するための図。

【符号の説明】

１ 登録手段 ２ 初期状
態実現手段 ３ 異常検出手段 ４ プログ
ラム交替処理実行手段 ５ 実行環境保存手段 ６ 環境復
元手段 ７ 蓄積手段 ８ 格納手
段 ９ 履歴保存手段 １０ 制御
手段 １１ 異常プログラム再起動手段

Claims (8)

【特許請求の範囲】
1. 【請求項１】 タスクを処理する第１のプログラム及び
   前記タスクを処理する第２のプログラムを対応付けて記
   憶装置に登録する登録手段と、 前記第１、第２のプログラムの一方を起動し前記タスク
   を処理する稼働状態とする初期状態実現手段と、 稼働状態のプログラムの異常を監視して異常検出を行う
   異常検出手段と、 この異常検出手段が稼働状態のプログラムの異常を検出
   すると、前記登録手段による登録内容に応じて、当該稼
   働状態のプログラムに代えて前記第１、第２のプログラ
   ムの内、他方を稼働状態とするための処理を行うプログ
   ラム交替処理実行手段とを備えることを特徴とする計算
   機システム。
2. 【請求項２】 初期状態実現手段は、 稼働状態のプログラムと異なる他方のプログラムを待機
   状態としておくことを特徴とする請求項１記載の計算機
   システム。
3. 【請求項３】 プログラム交替処理実行手段は、 異常検出手段が稼働状態のプログラムの異常を検出した
   場合に、当該プログラムの実行処理を中断する実行中断
   手段と、 前記異常検出手段が稼働状態のプログラムを異常を検出
   した場合に、当該プログラムが占有していた資源を解放
   する解放手段とを含むことを特徴とする請求項１または
   請求項２記載の計算機システム。
4. 【請求項４】 稼働状態のプログラムが処理するタスク
   の実行環境情報を検出して保存する実行環境保存手段
   と、 この実行環境保存手段に保存されている実行環境情報に
   基づき、プログラム交替処理実行手段による処理の際
   に、タスクの実行環境を復元する環境復元手段とを備え
   ることを特徴とする請求項１乃至請求項３のいずれか１
   項に記載の計算機システム。
5. 【請求項５】 実行環境保存手段は、プログラムの処理
   実行に先立ち実行環境情報を保存することを特徴とする
   請求項４の計算機システム。
6. 【請求項６】 実行環境保存手段は、稼働状態のプログ
   ラムの処理実行に先立つ時点の実行環境情報から異常終
   了に到るまでの履歴に係る実行環境情報を保存すること
   を特徴とする請求項４の計算機システム。
7. 【請求項７】 タスクの実行処理要求データを蓄積する
   ための蓄積手段と、 前記タスクの実行処理要求データが入力されると、この
   実行処理要求データを前記蓄積手段に格納する格納手段
   と、 前記タスクの実行に際して、対応の実行要求データを前
   記格納手段から取り出し当該実行要求データに対する処
   理履歴情報を保存する履歴保存手段と、 この履歴保存手段に格納されている処理履歴情報に基づ
   き、プログラム交替処理実行手段による処理の際に、当
   該実行処理要求データの処理の実行／スキップを制御す
   る制御手段とを具備することを特徴とする請求項１乃至
   請求項６のいずれか１項に記載の計算機システム。
8. 【請求項８】 プログラム交替処理実行手段による稼働
   状態のプログラムの交替処理が実行される際に、異常と
   なったプログラムを再起動し待機状態としておく異常プ
   ログラム再起動手段を具備することを特徴とする請求項
   １乃至請求項７のいずれか１項に記載の計算機システ
   ム。